2月14日，國家網(wǎng)信辦公布《個人信息保護合規(guī)審計管理辦法》（下稱《辦法》，并附《個人信息保護合規(guī)審計指引》（下稱《指引》），定于今年5月1日起施行?！掇k法》明確了自行開展以及按照相關保護部門要求開展個人信息保護合規(guī)審計的兩種情形及要求，并規(guī)定處理超過1000萬人個人信息的個人信息處理者，應當每兩年至少開展一次個人信息保護合規(guī)審計。

首先《辦法》給出定義，個人信息保護合規(guī)審計是指對個人信息處理者的個人信息處理活動是否遵守法律、行政法規(guī)的情況進行審查和評價的監(jiān)督活動。

近年來，《個人信息保護法》《網(wǎng)絡數(shù)據(jù)安全管理條例》等法律法規(guī)相繼出臺，為個人信息保護提供了基本的法律框架與制度設計，并對個人信息處理者開展合規(guī)審計作出規(guī)定?！掇k法》則對前述上位法中的原則性規(guī)定進行了細化與落實。

《辦法》明確了兩種個人信息處理者開展合規(guī)審計的情形。

一是個人信息處理者自行開展個人信息保護合規(guī)審計的，應當由個人信息處理者內(nèi)部機構(gòu)或者委托專業(yè)機構(gòu)定期對其處理個人信息遵守法律、行政法規(guī)的情況進行合規(guī)審計。處理超過1000萬人個人信息的個人信息處理者，應當每兩年至少開展一次個人信息保護合規(guī)審計。處理100萬人以上個人信息的個人信息處理者應當指定個人信息保護負責人，負責個人信息處理者的個人信息保護合規(guī)審計工作。

二是某些情形下，國家網(wǎng)信部門和其他履行個人信息保護職責的部門，要求個人信息處理者委托專業(yè)機構(gòu)對個人信息處理活動進行合規(guī)審計。值得注意的是，對同一個人信息安全事件或者風險，不得重復要求個人信息處理者委托專業(yè)機構(gòu)開展個人信息保護合規(guī)審計?！　?/p>

具體而言，上述情形包括三種——發(fā)現(xiàn)個人信息處理活動存在嚴重影響個人權(quán)益或者嚴重缺乏安全措施等較大風險的；個人信息處理活動可能侵害眾多個人的權(quán)益的；發(fā)生個人信息安全事件，導致100萬人以上個人信息或者10萬人以上敏感個人信息泄露、篡改、丟失、毀損的。

此外，個人信息處理者按照保護部門要求開展個人信息保護合規(guī)審計的，應當為專業(yè)機構(gòu)正常開展個人信息保護合規(guī)審計工作提供必要支持，并承擔審計費用。完成合規(guī)審計后，其應當按照保護部門要求對合規(guī)審計中發(fā)現(xiàn)的問題進行整改。在整改完成后15個工作日內(nèi)，向保護部門報送整改情況報告。

對于從事合規(guī)審計活動的專業(yè)機構(gòu)提出了哪些要求？《辦法》明確，專業(yè)機構(gòu)應當公正客觀地作出合規(guī)審計職業(yè)判斷，對在履行個人信息保護合規(guī)審計職責中獲得的個人信息、商業(yè)秘密、保密商務信息等應當依法予以保密，在合規(guī)審計工作結(jié)束后及時刪除相關信息；不得轉(zhuǎn)委托其他機構(gòu)開展個人信息保護合規(guī)審計。需要注意的是，同一專業(yè)機構(gòu)及其關聯(lián)機構(gòu)、同一合規(guī)審計負責人不得連續(xù)三次以上對同一審計對象開展個人信息保護合規(guī)審計。

附件《指引》細化了個人信息保護合規(guī)審計的重點審查事項，共包括27個方面，涉及圖像采集、個人信息刪除權(quán)保障、自動化決策、敏感信息處理等。

對個人信息處理者利用自動化決策處理個人信息進行合規(guī)審計的，應審查的內(nèi)容包括自動化決策的透明度，以及自動化決策的結(jié)果是否公平、公正；是否事前告知個人自動化決策處理個人信息的種類及可能帶來的影響；向個人進行信息推送、商業(yè)營銷的，是否同時提供不針對個人特征的選項；是否采取了有效措施，防止自動化決策根據(jù)消費者的偏好、交易習慣等實行不合理的差別待遇等。

對個人信息刪除權(quán)保障情況進行合規(guī)審計，應重點審查處理目的是否已實現(xiàn)、無法實現(xiàn)或者為實現(xiàn)處理目的不再必要；個人信息處理者是否停止提供產(chǎn)品或者服務，或者個人是否已注銷賬號；保存期限是否已屆滿；個人是否撤回同意；個人信息處理者是否違反法律、行政法規(guī)或者違反約定處理個人信息等。

近年來，由網(wǎng)絡暴力引發(fā)的慘劇頻頻上演，抵制這一網(wǎng)絡頑疾已逐漸成為全民共識，同時網(wǎng)暴治理領域建章立制的步伐也在加快。針對個人信息處理者處理已公開的個人信息進行合規(guī)審計時，《指引》提出應重點審查是否存在利用已公開的個人信息從事網(wǎng)絡暴力、傳播網(wǎng)絡謠言和虛假信息等活動的行為。

另外，《個人信息保護法》規(guī)定提供重要互聯(lián)網(wǎng)平臺服務、用戶數(shù)量巨大、業(yè)務類型復雜的個人信息處理者，應成立主要由外部成員組成的獨立機構(gòu)對個人信息保護情況進行監(jiān)督，并且定期發(fā)布個人信息保護社會責任報告。

此次《指引》明確，對符合上述要求個人信息處理者發(fā)布的社會責任報告進行合規(guī)審計時，應當重點審查報告中是否就獨立監(jiān)督機構(gòu)的履職情況作出說明等。